Facebook подключило отверстие, которое разрешило захват аккаунта

Facebook исправил серьезную уязвимость, которая позволила бы злоумышленникам легко получить доступ к данным учетной записи частного пользователя и контролировать учетные записи, специально созданных ссылок, сказал исследователь в области безопасности веб-приложений в конце четверга.

Nir Goldshlager, исследователь, который утверждает, что нашел недостаток и сообщил об этом в Facebook, опубликовал подробное описание и видео-демонстрацию того, как атака воздействовала на его блог.

Уязвимость позволила потенциальному злоумышленнику украсть чувствительные фрагменты информации, известные как токены доступа OAuth. Facebook использует протокол OAuth, чтобы предоставить сторонним приложениям доступ к учетным записям пользователей после того, как пользователи одобряют их. Каждому приложению назначается уникальный токен доступа для каждой учетной записи пользователя.

[Дополнительная информация: Как удалить вредоносное ПО с вашего ПК с Windows]

Goldshlager обнаружил уязвимость на сайтах Facebook для мобильных устройств и устройств с сенсорным экраном, которые были вызваны неправильным дезинфекция путей URL. Это позволило ему создавать URL-адреса, которые могли быть использованы для кражи маркера доступа для любого приложения, которое пользователь установил в своем профиле.

В то время как большинство приложений на Facebook являются сторонними приложениями, которые пользователи должны одобрить вручную, есть несколько встроенных приложений, которые предварительно одобрены. Одним из таких приложений является Facebook Messenger; его токен доступа не истекает, если пользователь не изменяет свой пароль и имеет обширные разрешения на доступ к данным учетной записи.

Facebook Messenger может читать, отправлять, загружать и управлять сообщениями, уведомлениями, фотографиями, электронными сообщениями, видео и т. д. Уязвимость URL-манипуляции, найденная на m.facebook.com и touch.facebook.com, могла быть использована для кражи токена доступа пользователя для Facebook Messenger, который дал бы злоумышленнику полный доступ к учетной записи, сказал Goldshlager.

Fingered by bug-hunter

URL-адрес атаки мог быть сокращен с помощью одной из многих служб сокращения URL-адресов и отправлен пользователям, маскирующимся как ссылка на что-то еще. Атака также работала над учетными записями, в которых была включена двухфакторная аутентификация Facebook, сказал Goldshlager.

С помощью токена доступа и идентификатора пользователя Facebook злоумышленник может извлекать информацию из учетной записи пользователя с помощью API-интерфейса Graph API, инструмент для разработчиков, доступный на сайте Facebook, Goldshlager сказал в пятницу по электронной почте.

Согласно Goldshlager, группа безопасности Facebook зафиксировала эту уязвимость. «Facebook имеет профессиональную группу безопасности, и они очень быстро исправляют проблемы», - сказал он.

«Мы приветствуем исследователя безопасности, который привлек внимание к этой проблеме и ответственно сообщил об ошибке в нашей программе White Hat», представитель Facebook сказал в пятницу по электронной почте. «Мы работали с командой, чтобы убедиться, что мы понимаем всю степень уязвимости, которая позволила нам исправить ее без каких-либо доказательств того, что эта ошибка была использована в дикой природе. Из-за ответственного сообщения об этой проблеме в Facebook у нас нет доказательств того, что на эту проблему повлияла проблема пользователей. Мы предоставили щедрость исследователю, чтобы поблагодарить их за их вклад в безопасность Facebook ».

Исследователь утверждает, что он также обнаружил другие уязвимости, связанные с OAuth, которые затрагивают Facebook, но отказались раскрывать какую-либо информацию о них, Facebook запускает программу подсчета ошибок, через которую он выплачивает денежные вознаграждения исследователям безопасности, которые находят и ответственно сообщают об уязвимостях, влияющих на сайт.

Goldshlager сказал в Twitter, что он еще не заплатил Facebook за сообщив об этой уязвимости, но отметил, что его отчет включает в себя множество уязвимостей и что он, вероятно, получит вознаграждение после того, как все они будут исправлены.

Facebook высоко оценивает исследователей безопасности для поиска и сообщения об ошибках, сказал Goldshlager по электронной почте. «Я не могу сказать, сколько, но они платят больше, чем любая другая программа баунти, которую я знаю».

Обновлено в 11:55 утра PT, чтобы включить комментарий от Facebook.